Sítě predn_11.odt 27.04.2007 14:05:30 1
Sítě v operačním systému Unix Sítě jsou složité pro zjednodušení jsou řešeny po vrstvách ISO/OSI model - od teorie k praxi příliš se neujal 7 vrstev používán pro klasifikaci a výuku TCP/IP - od praxe k teorii sada protokolů implementovaných na internetu 4 resp. 5 vrstev specifikován pomoci RFC Protokol je sada pravidel popisujících výměnu dat. Pro TCP/IP jsou nejčastěji popsány v tzv. RFC. predn_11.odt 27.04.2007 14:05:30 2
ISO/OSI Síťové modely TCP/IP Application Presentation Application Session Transport Transport Network Internet Link Network Interface Physical Hardware predn_11.odt 27.04.2007 14:05:30 3
Zapouzdřování (enkapsulace) system1: system2: vi telnet Aplikační data Aplikační vrstva - zprávy (telnet protokol) telnetd Aplikační data TH Aplikační data Transportní vrstva - pakety (TCP) TH Aplikační data IH TH Aplikační data IP vrstva - datagramy (IP) IH TH Aplikační data FH IH TH Aplikační data FT Síťová a fyzická vrstva - rámce (ethernet) FH IH TH Aplikační data FT predn_11.odt 27.04.2007 14:05:30 4
Síťová a fyzická vrstva Topologie: Sběrnice (bus) původní ethernet na koaxiálním kabelu Hvězda (star) ethernet na kroucené dvojlince Kruh (ring) TokenRing (IBM) Metodologie: Pravděpodobnostní: CSMA/CD (Ethernet) Deterministická TokenRing Spojovaná ATM predn_11.odt 27.04.2007 14:05:30 5
Protokoly: Ethernet, TokenRing, ATM fyzické přenosové protokoly SLIP (Serial Line IP) - přenos IP po sériové lince PPP (Point to Point Protokol) - novější způsob přenosu IP po sériové lince ARP (Address Resolution Protocol) - mapování IP adres do fyzických adres přenosového protokolu RARP (Reverse Address Resolution Protocol) - zjištění IP adresy na základě fyzické adresy predn_11.odt 27.04.2007 14:05:30 6
Ethernet Adresace na ethernetu fyzická adresa, MAC adresa, 6 bytů psaných hexa oddělené dvojtečkou 3 byty přidělené výrobci, 3 byty určovány výrobcem různé karty mají (by měly mít) různé fyzickéadresy Typy adres: broadcast: ff:ff:ff:ff:ff:ff multicast unicast 01:00:5e:xx:xx:xx ostatní adresy Rozhraní předává ke zpracování: broadcasty, definované mulicasty a unicast s vlastní adresou - normální činnost nebo vše (promiskuitní režim) - sledovánísítě, výrazně více zatěžuje systém predn_11.odt 27.04.2007 14:05:30 7
Struktura ethernetového rámce: 8B 6B 6B 2B max. 1500B 4B preamble adresa cíle adresa zdroje typ (>=5dd) resp. délka (<5dd) data CRC Výpis konfigurace rozhraní: ifconfig interface root@solaris/root>ifconfig nei0 nei0: flags=1000843<up,broadcast,running,multicast,ipv4> mtu 1500 index 2 inet 192.168.10.2 netmask ffffff00 broadcast 192.168.10.255 ether 0:80:48:ed:84:17 predn_11.odt 27.04.2007 14:05:30 8
CSMA/CD Host has message Carrier sense Traffic on network? Yes No Collision detection Success No Send message and check for collision. In case of collision, transmit jam and stop. Was there a collision Yes Wait, back of exponentially predn_11.odt 27.04.2007 14:05:30 9
Výpis nakonfigurovaných rozhraní a informace o přenesených paketech: netstat -i root@solaris/root>netstat -i Name Mtu Net/Dest Address Ipkts Ierrs Opkts Oerrs Collis Queue lo0 8232 loopback localhost 718831 0 718831 0 0 0 nei0 1500 192.168.10.0 solaris 51533 110 16603 0 0 0 Kolize normální jev, pokud nepřesahuje trvale 10%, nevadí Chyby nesmí být, pokud se vyskytují pravidelně, znemožňují provoz na síti predn_11.odt 27.04.2007 14:05:30 10
Segment sítě jeden fyzický úsek sítě (koaxiální kabel zakončený odpory, jeden kroucený kabel) Opakovač (repeater, hub) spojuje segmenty sítě do tzv. kolizní domény šíří všechny pakety včetně kolizí a chyb (může chybový port odpojit) Přepínač (switch, most, bridge) přepíná pakety na linkové vrstvě na základě fyzických adres spojuje kolizní domény a přenáší mezi nimi jen potřebná data zvyšuje bezpečnost sítě a zmenšuje zátěž sítě může podporovat virtuální sítě (vlan) predn_11.odt 27.04.2007 14:05:30 11
IP vrstva Protokoly: IP (Internet Protocol)přenos datagramů mezi dvěma uzly sítě Definuje adresaci a směrování. Dvě verze: IPv4 a IPv6 ICMP (Internet Control Message Protocol) testování a přenos chybových zpráv Adresy IPv4: 4 byty psané dekadicky po bytech oddělené tečkou adresa rozdělena na adresu sítě a adresu uzlu Třídy adres (x = část adresy sítě, y = adresa uzlu, z = multicast adresa): A: 1-127.y.y.y B: 128-191.x.y.y C: 192-223.x.x.y D: 224-239.z.z.z predn_11.odt 27.04.2007 14:05:30 12
Speciální adresy: 127.y.y.y rezervováno pro tzv. loopback Adresa s nulovou částí adresy uzlu: adresa sítě Adresa s jedničkovou částí adresy uzlu: broadcast 0.0.0.0 použita v případě když vlastní adresa není známa (RARP) 10.y.y.y, 172.16-31.y.y, 192.168.y.y lze použít jako privátní adresy. Nikdy se nesmí objevit na Internetu. predn_11.odt 27.04.2007 14:05:30 13
Výpis nastavení síťového rozhraní: root@solaris/root>ifconfig nei0 nei0: flags=1000843<up,broadcast,running,multicast,ipv4> mtu 1500 index 2 inet 192.168.10.2 netmask ffffff00 broadcast 192.168.10.255 ether 0:80:48:ed:84:17 Ověření průchodnosti cesty: root@solaris/root>ping dilna dilna is alive root@solaris/root>ping -s dilna PING dilna: 56 data bytes 64 bytes from dilna (192.168.10.1): icmp_seq=0. time=1. ms 64 bytes from dilna (192.168.10.1): icmp_seq=1. time=1. ms ^C ----dilna PING Statistics---- 4 packets transmitted, 4 packets received, 0% packet loss round-trip (ms) min/avg/max = 1/1/1 predn_11.odt 27.04.2007 14:05:30 14
Náhrada adres jménem pomůcka pro uživatele překlad jmen na adresy (a naopak) se nazývá "resolvování" jméno může být jednoduché nebo doménové překlad je pomocí: souboru /etc/hosts distribuované služby DNS (implementováno např. programem named) jmenných služeb NIS, NIS+, LDAP druh překladu bývá určován souborem /etc/nsswitch.conf Příklad: root@solaris/root>cat /etc/hosts # # Internet host table 127.0.0.1 localhost 192.168.10.2 solaris loghost 192.168.10.1 dilna root@solaris/root>grep hosts /etc/nsswitch.conf hosts: files predn_11.odt 27.04.2007 14:05:30 15
Směrování (forwarding, routing): způsob doručování odchozích datagramů: přímý - cíl leží v broadcastové doméně (arp) nepřímý - přímé doručení na příslušný router přepínání datagramů v mezilehlých uzlech (routerech) je obvykle ovlivněno adresou sítě, nikoliv adresou uzlu Maska sítě (implicitní a explicitní): definuje rozdělení adresy na adresu sítě a adresu uzlu na Solarisu jsou masky v souboru /etc/netmasks Subsítě: pomocí masky sítě delší než je implicitní se jedna síť rozdělí na více podsítí. VLSM (Variable Length Subnet Masks): maska podsítě není konstantně dlouhá ale má různou délku pro různé podsítě CIDR (Classless Inter Domain Routing) sdružování více sítí do jedné pomocí masky kratší než je implicitní predn_11.odt 27.04.2007 14:05:30 16
Směrování v Unixu je integrováno v jádře je řízeno tabulkou (položky: adresa, maska, doručovací adresa) může být zakázáno pro příchozí pakety (obvykle parametr ip_forwarding) Princip směrování: Setřídit položky směrovací tabulky podle délky masky od nejdelší (32, host) po nejkratší (0, default). Aplikovat na odchozí IP adresu masku z tabulky a porovnat s adresou v tabulce je-li rovno, pak: je-li doručovací adresa v tabulce adresa lokálního rozhraní, doruč přímo (arp) ne-li, doruč přímo na tuto adresu (adresa routeru, který doručí dále) ne-li rovno, pokračuj další položkou. Není-li nalezena shoda, pošli nazpět zprávu o chybě pomocí ICMP predn_11.odt 27.04.2007 14:05:30 17
Směrovací tabulka se nastavuje: kernelem při konfiguraci síťového rozhraní příkazem ifconfig ručně resp. staticky při startu příkazem route dynamicky démony, které implementují speciální routovací protokoly rdisc implementace protokolu Router Discovery na Sunech routed implementace protokolu RIP gated implementace protokolů RIP, OSPF, BGP a další predn_11.odt 27.04.2007 14:05:30 18
Výpis směrovací tabulky: root@solaris/root>netstat -rnv IRE Table: IPv4 Destination Mask Gateway Device Mxfrg Rtt Ref Flg Out In/Fwd -------------------- --------------- -------------------- ------ ----- ----- --- --- ----- ------ 147.32.83.0 255.255.255.0 147.32.80.107 bge0 1500* 0 1 UG 1 0 147.32.81.0 255.255.255.0 147.32.80.107 bge0 1500* 0 1 UG 0 0 147.32.80.0 255.255.255.0 147.32.80.36 bge0 1500* 0 1 U 174560 0 192.168.35.0 255.255.255.0 192.168.35.3 bge2 1500* 0 1 U 121 0 172.16.0.0 255.255.0.0 172.16.0.1 bge3 1500* 0 1 U 148137 0 224.0.0.0 240.0.0.0 147.32.80.36 bge0 1500* 0 1 U 0 0 default 0.0.0.0 147.32.80.6 bge0 1500* 0 1 UG 2 0 127.0.0.1 255.255.255.255 127.0.0.1 lo0 8232* 0 588 UH 6633724 0 Ověření cesty k cíli: root@solaris/root>traceroute dilna traceroute to dilna (192.168.10.1), 30 hops max, 40 byte packets 1 dilna (192.168.10.1) 1.286 ms 0.930 ms 0.928 ms predn_11.odt 27.04.2007 14:05:30 19
Unix jako router vyžaduje 2 nebo více síťových rozhraní musí být povoleno v jádře, obvykle parametrem ip_forwarding příkazu ndd obvykle na něm běží routovací daemoni Unix jako firewall router který filtruje provoz podle zadaných pravidel může být součástí jádra nebo speciální produkt predn_11.odt 27.04.2007 14:05:30 20
Transportní vrstva Doplňuje adresaci uzlů o adresaci aplikací běžících na uzlech (o tzv. porty) Protokoly: přiřazení čísel protokolům je v souboru /etc/protocols TCP (Transmissin Control Protocol) UDP (User Datagram Protocol) mezi aplikacemi Porty: 64k portů TCP a 64k portů UDP oboustranný spojovaný zabezpečený proud dat nespojovaný, nezabezpečený přenos datagramů porty 0-1023 jsou privilegované - mohou být použity pouze aplikacemi s UID=0 v /etc/services jsou uvedeny porty přidělené standardním aplikacím: root@solaris/root>grep telnet /etc/services telnet 23/tcp predn_11.odt 27.04.2007 14:05:30 21
Aplikace Model klient server Aplikace je obvykle tvořena klientem (volaným přímo uživatelem) a serverem (běžícím nebo podle potřeby odstartovaným démonem). Aplikace se píší metodou socketů (BSD) nebo RPC. Sockety obdoba souborů většina portů z /etc/services je používána pomocí socketů Typické aplikace: telnet, ftp, rlogin, sendmail, named predn_11.odt 27.04.2007 14:05:30 22
RPC (Remote Procedure Call) síťové operace jsou zamaskovány pomocí volání procedur, které se provádějí na vzdáleném uzlu Jedna z implementací je od firmy Sun jako součást tzv. ONC (Open Network Computing) Je to TI-RPC (Transport Independent) - vazba na transportní vrstvu může být až při startu aplikace, ne při jejím psaní. Součástí je protokol XDR (externl Data representation) zaručujícísprávné předávání datových typů mezi různými platformami Přidělování portů může být dynamické pomocí démona rpcbind (dříve portmap) Typické aplikace: NFS: mountd, dfshares, dfmounts NIS+, NIS: ypcat, ypwhich spray Informace o RPC programech běžících na uzlu lze získat příkazem rpcinfo predn_11.odt 27.04.2007 14:05:30 23
Start serverů aplikací: ručně startovacím skriptem při startu systému programem inetd Program inetd startován při startu systému načítá konfigurační soubor inetd.conf může startovat jak socketové tak RPC aplikace poslouchá na požadovaných portech a pří požadavku na spojení startuje démona běží s UID=0 a proto může být použit k útokům na systém pro zvýšení bezpečnosti lze použít tzv. wrappery: programy startované z inetd místo démona provedou kontrolu přípustnosti požadavku a buďto jej odmítnou nebo odstartují démona predn_11.odt 27.04.2007 14:05:30 24
Výsek z /etc/inetd.conf: # Configuration file for inetd(1m). See inetd.conf(4). # # To re-configure the running inetd process, edit this file, then # send the inetd process a SIGHUP. # # Syntax for socket-based Internet services: #<service_name> <socket_type> <proto> <flags> <user> <server_path> <args> # # Syntax for TLI-based Internet services: # # <service_name> tli <proto> <flags> <user> <server_pathname> <args> # Ftp and telnet are standard Internet services. # ftp stream tcp6 nowait root /usr/sbin/in.ftpd in.ftpd telnet stream tcp6 nowait root /usr/sbin/in.telnetd in.telnetd # # Rquotad supports UFS disk quotas for NFS clients # rquotad/1 tli rpc/datagram_v wait root /usr/lib/nfs/rquotad rquotad predn_11.odt 27.04.2007 14:05:30 25
Výpis aktivních spojení: root@solaris/root>netstat -a UDP: IPv4 Local Address Remote Address State -------------------- -------------------- ------- *.route Idle *.* Unbound *.sunrpc Idle *.* Unbound *.32771 Idle TCP: IPv4 Local Address Remote Address Swind Send-Q Rwind Recv-Q State ---------------- --------------- ----- ------ ----- ------ ----- *.* *.* 0 0 24576 0 IDLE *.sunrpc *.* 0 0 24576 0 LISTEN *.* *.* 0 0 24576 0 IDLE *.ftp *.* 0 0 24576 0 LISTEN *.telnet *.* 0 0 24576 0 LISTEN *.shell *.* 0 0 24576 0 LISTEN localhost.32933 localhost.32773 32768 0 32768 0 ESTABLISHED localhost.32773 localhost.32933 32768 0 32768 0 ESTABLISHED predn_11.odt 27.04.2007 14:05:30 26